Sotsiaalne manipulatsioon, arvepettus ja CEO-pettus kindlustuses

Lühidalt. Sotsiaalse manipulatsiooni pettuses ei murra ründaja süsteemi, vaid usaldust: töötaja teeb ise makse, uskudes, et korraldus pärineb tarnijalt, juhilt või pangalt. Kuna makse on töötaja tahtlik tegu, ei pruugi see mahtuda klassikalise crime-lepingu varguse ega arvutipettuse klausli alla. Seetõttu on turul eraldi petturliku juhise (fraudulent instruction) ja sotsiaalse manipulatsiooni (social engineering) kate, mis on peaaegu alati alamlimiidiga ja seotud kontrollinõuetega. Makseteenuse õiguses on selline makse maksja poolt autoriseeritud, mistõttu pank üldjuhul raha tagasi ei kanna; panga vastutus oma kohustuste, näiteks makse saaja kontrolli rikkumise eest hinnatakse eraldi.

1. Tüüpilised skeemid

1.1. Arve ümbersuunamine (invoice redirection)

Ründaja saab ligipääsu tarnija või ettevõtte enda e-posti kontole, jälgib kirjavahetust ja saadab õigel hetkel teate „uutest pangarekvisiitidest“. Sageli lisatakse usutav põhjendus (pangavahetus, auditi nõue, kontsernisisene ümberkorraldus). Raamatupidamine muudab tarnija andmed ja maksab järgmise arve petturi kontole. Pettus avastatakse alles siis, kui tegelik tarnija küsib, miks arve on tasumata.

1.2. CEO-pettus (fake president)

Pettur esineb tegevjuhi või muu kõrge juhina ning annab finantstöötajale korralduse teha kiire ja konfidentsiaalne makse, viidates näiteks pooleliolevale omandamistehingule. Skeemi jõud tuleneb hierarhilisest survest ja ajasurvest. Kasutatakse ka võltsitud häält või videot.

1.3. Tarnija identiteedivargus ja konto ülevõtmine

Pettur kasutab tegelikku, ülevõetud kontot, mitte võltsitud aadressi. Kirjad tulevad õigelt aadressilt, viitavad tegelikele tellimustele ja sisaldavad õiget allkirja. Sellise pettuse avastamine on oluliselt raskem.

1.4. Pangana esinemine

Pettur helistab ettevõttele panga nimel ja palub kinnitada „kahtlase tehingu tühistamist“, saades sel viisil kinnituskoodid. Selle skeemi õiguslik hinnang sõltub sellest, kas makse oli maksja poolt autoriseeritud (vt p 4).

2. Miks klassikaline crime-kate ei pruugi rakenduda

Klassikalised crime-komponendid on töötaja ebaaus tegu, vargus ruumidest, võltsimine ja arvutipettus. Sotsiaalse manipulatsiooni puhul:

• töötaja ei ole ebaaus, ta on petetud;
• raha ei võeta ettevõttelt, ettevõte maksab ise;
• dokument ei pruugi olla võltsitud selle klassikalises tähenduses (e-kiri on autentne, kuid sisu vale);
• arvutisüsteemi ei manipuleerita; e-posti kasutamine on üksnes suhtlusvahend.

USA kohtupraktikas on arvutipettuse klausli kohaldamine sellistele juhtumitele olnud vastuoluline: osa kohtuid on leidnud, et e-kirja kasutamine on pettuses kõrvaline, teised, et petturlik e-kiri, mis manipuleeris süsteemi kuvatava teabega, põhjustas kahju otseselt (vt arvutipettus ja crime-kaasused).

3. Petturliku juhise ja sotsiaalse manipulatsiooni kate

3.1. Sisu

Eraldi kate hüvitab kahju, mis tekib, kui töötaja teeb heas usus makse, tuginedes juhisele, mis näib pärinevat tarnijalt, kliendilt, juhilt või pangalt, kuid mis tegelikult pärineb petturilt. Tingimused nõuavad tavaliselt, et:

• juhis oli suunatud kindlustatu töötajale;
• töötaja uskus juhise ehtsusse;
• töötaja ei teadnud pettusest ega osalenud selles;
• makse tehti kindlustatu kontolt või kindlustatu nimel.

3.2. Alamlimiit

Kate on peaaegu alati alamlimiidiga, mis võib olla murdosa põhilimiidist. Ettevõtte jaoks tuleb alamlimiiti võrrelda tüüpilise ja suurima makse suurusega. Kui ettevõte tasub regulaarselt mitmesajatuhandelisi arveid, kuid alamlimiit on 100 000 eurot, jääb suurem osa tõenäolisest kahjust katteta.

3.3. Kontrollinõue (verification condition)

Paljud lepingud nõuavad, et enne pangarekvisiitide muutmist või uuele saajale makse tegemist kontrollitakse juhist sõltumatu kanali kaudu, näiteks helistades tarnija juba varem teadaolevale numbrile (call-back). Kui kontrolli ei tehtud, kate puudub või hüvitis väheneb. Eesti õiguses tuleb hinnata, kas selline tingimus on välistus (kindlustusjuhtumi piiritlemine) või hoolsuskohustus. Riigikohus kasutab eristamiseks kriteeriumi, kas tingimuse täitmine sõltub kindlustusvõtja tegevusest; hoolsuskohustuse rikkumine ei tohiks üldjuhul välistada hüvitist täielikult.¹ Kui tegemist on hoolsuskohustusega, saab kindlustusandja vabaneda üksnes siis, kui rikkumine oli süüline ja mõjutas kindlustusjuhtumi toimumist.² Sõltumatu tagasihelistamine oleks pettuse peaaegu alati ära hoidnud, mistõttu on põhjuslik seos tavaliselt olemas.

4. Panga roll

Sotsiaalse manipulatsiooni makse on makseteenuse õiguse mõttes maksja poolt autoriseeritud. Maksetehing on maksjale siduv, kui ta on andnud selleks nõusoleku kokkulepitud viisil.³ Autoriseerimata makse korral peab pank summa maksjale viivitamata tagastama, kuid autoriseeritud makse korral see kohustus ei teki.⁴ Kui makse täidetakse kooskõlas kordumatu tunnusega (kontonumbriga), loetakse see nõuetekohaselt täidetuks ka siis, kui maksja märkis saaja nime, mis ei vasta konto omanikule.⁵ Euroala makseteenuse pakkujatel on alates 2025. aasta oktoobrist kohustus pakkuda makse saaja kontrolli teenust, mis kontrollib saaja nime ja konto vastavust.⁶ Vt lähemalt panga vastutus ja makseteenuste reeglid.

5. Pärast pettuse avastamist

1. Teavita panka kohe ja palu tagasikutsumist (recall) ja saaja panga teavitamist. Esimesed tunnid on otsustavad, sest raha liigub kiiresti edasi.
2. Esita kuriteoteade politseile; see on tavaliselt ka kindlustuslepingu tingimus.
3. Teavita kindlustusandjat viivitamata.⁷
4. Säilita tõendid: e-kirjad koos päistega, telefonikõnede andmed, maksekorraldused, sisemine kinnitusprotsess.
5. Kontrolli, kas tegemist on ka küberintsidendiga: kui e-posti konto on üle võetud, võib olla toimunud andmeleke ja vajalik teavitamine.

6. Juhatuse vastutus

Kui ettevõttel puudub kord pangarekvisiitide muutmise kontrollimiseks ja maksete topeltkinnitamiseks, võivad osanikud või pankrotihaldur pärast suurt pettust väita, et juhatus ei korraldanud sisekontrolli korraliku ettevõtja hoolsusega.⁸ Crime-kindlustus hüvitab ühingu kahju alamlimiidi ulatuses; ülejäänud kahju osas võib tekkida küsimus juhatuse vastutusest (vt D&O-kaasused).

7. Kontrollnimekiri

1. Kas lepingus on petturliku juhise ja sotsiaalse manipulatsiooni kate ning kui suur on alamlimiit?
2. Millised kontrollinõuded on katte eelduseks ja kas need vastavad tegelikule protsessile?
3. Kas kate hõlmab ka kliendi nimel tehtud makseid ja klientide raha?
4. Kas pangana esinemine on kaetud?
5. Kas küberlepingus on samale riskile alamlimiit ja kuidas lepingud omavahel suhestuvad?

Korduma kippuvad küsimused

Kas tehisaruga loodud hääl või video muudab kindlustuse olukorda?

Süvavõltsingud (deepfake) muudavad pettuse usutavamaks, kuid õiguslikult on tegemist sama skeemiga: töötaja teeb makse petetuna. Kate sõltub sellest, kas sotsiaalse manipulatsiooni klausel hõlmab peale e-kirja ka telefoni- ja videokõnes antud juhiseid. Uuemad sõnastused hõlmavad kõiki suhtluskanaleid.

Kas kate kehtib, kui pettur esines kliendina ja ettevõte saatis kauba?

Kui pettur tellis kaupa võltsitud kliendi nimel ja ettevõte saatis kauba petturile, ei ole tegemist raha ülekandmisega. Mõned lepingud katavad seda eraldi (nt kauba ümbersuunamise pettus), paljud välistavad krediidiriski. Tingimused tuleb üle kontrollida.

Kas sotsiaalse manipulatsiooni kate eeldab, et töötaja ei olnud hooletu?

Kate on mõeldud just olukorraks, kus töötaja eksis. Hooletus iseenesest ei välista katet, kuid lepingu kontrollinõude rikkumine võib seda mõjutada sõltuvalt põhjuslikust seosest.

Kui suur peaks olema alamlimiit?

Alamlimiit peaks katma vähemalt ettevõtte suurima tavapärase makse. Kui ettevõte teeb harva, kuid väga suuri makseid (nt kinnisvaratehing, omandamine), on nende jaoks mõistlik eraldi kontrolliprotsess, sest alamlimiidid harva neid summasid katavad.

Seotud lehed

• Crime-kindlustus (ülevaade)
• Arvutipettus
• Panga vastutus ja makseteenuste reeglid
• Koostoime küberkindlustusega
• Crime-kaasused

Viited